GoPlus: THORChain is geen gedecentraliseerd protocol

Beveiligingsbedrijf GoPlus Security trekt de claim van THORChain in twijfel dat het protocol even gedecentraliseerd is als Bitcoin of Ethereum. Aanleiding is de stroom van gestolen fondsen, waaronder geld gerelateerd aan Noord-Koreaanse hackers, die via THORChain worden witgewassen. Volgens GoPlus beschikt het protocol over de technische middelen om in te grijpen, maar kiest het dat niet te doen, terwijl het ondertussen miljoenen aan transactiekosten opstrijkt.

In het kort:

• GoPlus stelt dat THORChain structureel verschilt van Bitcoin en Ethereum doordat validators gezamenlijk controle hebben over fondsen in de zogenoemde TSS-vaults.
• Het protocol heeft ingebouwde mechanismen om transacties te pauzeren of te blokkeren, en heeft die eerder al ingezet bij een eigen exploit.
• Via THORChain werd bij de Bybit-hack voor circa $5,5 miljoen aan kosten gegenereerd; bij de recente Bitget-hack loopt dat bedrag ook al op.

TSS-vaults zijn geen basislaag-consensus

GoPlus legt uit dat Bitcoin en Ethereum fundamenteel anders werken dan THORChain. Bij Bitcoin en Ethereum bewaren gebruikers hun eigen fondsen via privésleutels. Validators en miners kunnen een transactie weigeren, maar kunnen nooit zelf fondsen versturen namens een gebruiker.

Bij THORChain is dat anders. Elke uitgaande transactie vereist een actieve handtekening van het actieve validatorsnetwerk via een zogeheten GG20 TSS drempelhandtekening. Tijdens een swap staan fondsen in een TSS-vault die gezamenlijk door die validators wordt beheerd. GoPlus stelt dat het vrijgeven van gestolen fondsen daarmee geen neutraal technisch proces is, maar een actieve keuze van het validatorennetwerk.

Het actieve validatorennetwerk van THORChain telt maximaal circa 100 nodes, met de mogelijkheid op te schalen naar 250 of meer. Die nodes coördineren actief via een Discord-kanaal en kunnen via stemprocessen besluiten nemen over het protocol. Dat is volgens GoPlus wezenlijk anders dan het anonieme, wereldwijde netwerk van Bitcoin-miners zonder enig coördinatiemechanisme.

Ingebouwde pauzemechanismen en eerdere precedenten

THORChain beschikt over meerdere ingebouwde tools om in te grijpen. Eén enkele node kan het netwerk al tijdelijk stilleggen via het zogenoemde ‘make pause’-commando. Daarnaast is het mogelijk om de uitgaande transacties van één specifieke blockchain te pauzeren zonder het hele netwerk offline te halen. Via Mimir-governance kunnen nodes bovendien in real time parameters aanpassen, de handel stilleggen of transacties blokkeren.

GoPlus wijst erop dat THORChain deze mechanismen eerder al heeft gebruikt. Toen het protocol zelf in mei 2026 werd getroffen door een exploit, werd het netwerk binnen twee uur gepauzeerd om verdere schade te voorkomen. Eerder, in februari 2025, stemden validators aanvankelijk voor het onderscheppen van fondsen die aan Noord-Korea werden gelinkt, maar draaiden dat besluit later terug. Kernbijdrager Pluto, die voor het ingrijpen pleitte, verliet het project daarna.

Miljoenen aan kosten op gestolen fondsen

GoPlus rekent voor wat niet ingrijpen oplevert. Bij de Bybit-hack werden 499.000 ETH in tien dagen witgewassen via THORChain, wat het protocol circa $5,5 miljoen aan kosten opleverde. Bij de recente Bitget-hack ging al circa 101,5 BTC (ongeveer $8,5 miljoen) via THORChain de deur uit, naast circa 27,63 miljoen XRP (circa $43 miljoen) die mid-swap naar Bitcoin worden omgezet. De potentiële kosteninkomsten daarvoor lopen in de honderdduizenden dollars.

GoPlus concludeert dat een per-chain blokkade van adressen en fondsen die door de FBI en OFAC aan Noord-Korea zijn gekoppeld, past binnen het eigen noodkader van THORChain voor situaties waarbij fondsen in gevaar zijn. De kritiek van GoPlus sluit aan bij eerder debat over THORChains rol bij het faciliteren van illegale geldstromen en de eerdere eis van de Bitget-CEO om hackeradressen te blokkeren.